CVE-2023-22463 in KubePi
要約
〜によって VulDB • 2026年05月31日
KubePiはk8s用のパネルです。バージョン1.6.2以前のKubePiのJWT認証機能では、ハードコードされたJwtsigkeysが使用されており、その結果、すべてのオンラインプロジェクトで同じJwtsigkeysが共有されています。これにより、攻撃者は任意のJWTトークンを偽造して、任意のオンラインプロジェクトの管理者アカウントを乗っ取ることができます。さらに、攻撃者は管理者権限を利用して、対象企業のk8sクラスター全体を乗っ取る可能性があります。`session.go`におけるハードコードされたJwtSigKeyの使用により、攻撃者はこの値を用いて任意のJWTトークンを偽造できます。JwtSigKeyは機密情報であり、コード中にハードコードすべきではありません。この脆弱性はバージョン1.6.3で修正されています。パッチでは、JWTキーはapp.ymlで指定されます。ユーザーがこれを空白のままにした場合、ランダムなキーが使用されます。アップグレード以外に回避策はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.